p PatchFirst

CVE-2026-116177

CVE-2026-116177 · vLLM 0.10.2 before 0.25.0 DoS via Nemotron-VL Processor Decompression-Bomb Guard Bypass

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

vLLM from 0.10.2 before 0.25.0 contains an uncontrolled resource consumption vulnerability that allows unauthenticated attackers to exhaust memory because the Nemotron-VL processors globally set Image.MAX_IMAGE_PIXELS to None. Attackers can submit a pathological decompression-bomb image to /v1/chat/completions to OOM-kill the worker and deny service to co-tenants.

CVSS 8.7 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • vllm

    Versiones
    • ≥ 0.10.2, < 0.25.0: Afectada (semver)
    • 0.25.0: No afectada (semver)

    Actualiza a 0.25.0

  • vllm PyPI

    Versiones
    • 0.10.2
    • 0.11.0
    • 0.11.1
    • 0.11.2
    • 0.12.0
    • 0.13.0
    • 0.14.0
    • 0.14.1
    • 0.15.0
    • 0.15.1
    • 0.16.0
    • 0.17.0
    • 0.17.1
    • 0.18.0
    • 0.18.1
    • 0.19.0
    • 0.19.1
    • 0.20.0
    • 0.20.1
    • 0.20.2
    • 0.21.0
    • 0.22.0
    • 0.22.1
    • 0.23.0
    • 0.24.0
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 0.10.2, < 0.25.0

    Actualiza a 0.25.0

Fuentes originales

Comprueba tu servidor →